لجر تایید می‌کند که چگونه «جاسوسان کاشته‌کننده» رمزارز را از دستگاه‌هایش می‌دزدند در حالی که موارد منتشر می‌شود

MediaMarktSaturn، گروه خرده‌فروشی آلمانی که تقریبا 1070 فروشگاه لوازم الکترونیکی MediaMarkt و Saturn در سرتاسر اروپا را پشت سر می‌گذارد، کیف پول‌های سخت‌افزاری سخت‌افزاری لجر را از قفسه‌ها و وب‌سایت‌های خود خارج کرده است زیرا نگرانی‌ها در مورد حمله زنجیره تامین به سازنده کیف پول فرانسوی افزایش یافته است. در همان زمان، Mark Karpelès، مدیر عامل سابق صرافی بیت کوین بدنام و در حال سقوط Mt. Gox، می گوید که اکنون یک لجر را با ایمپلنتی که در فرودگاه سنگاپور خریداری شده بود، بررسی کرده است.

کارپلس از ماه گذشته، هفته‌ها قبل از تخلیه کیف پول کاربران لجر در روز جمعه، پست‌هایی درباره دستگاه‌های لجر مجهز به «کاشت‌های جاسوسی» منتشر می‌کرد، و مشارکت او در کشف حمله زنجیره تامین به لجر به یک داستان بعید برای رستگاری رئیس سابق بدنه کوه Gox تبدیل شد. لجر همچنان می‌گوید همه موارد تایید شده شامل دستگاه‌هایی است که از طریق CryptoBilis، یک فروشنده در جنوب شرقی آسیا فروخته می‌شوند و «حجم دستگاه‌های آسیب‌دیده محدود است». تاکنون هیچ گزارش عمومی مبنی بر خرید دستگاه های دستکاری شده در ایالات متحده وجود نداشته است.

یکی از سخنگویان MediaMarktSaturn به کوین تلگراف گفت که حذف برای هر کشوری که این شرکت در آن فعالیت می کند اعمال می شود. این سخنگوی گفت: "محصولات از خط تولید ما در سطح بین المللی در همه کشورهای ما حذف شده اند. ما این کار را به عنوان یک اقدام احتیاطی انجام دادیم."

لجر صبح سه‌شنبه گفت که MediaMarktSaturn فروش دستگاه‌های خود را در فروشگاه‌ها و آنلاین با موافقت لجر متوقف کرده است، زیرا یکی از مشتریان در آلمان از کاشت ایمپلنت خبر داده است. این شرکت افزود که هیچ از دست دادن وجوه گزارش نشده است.

یکی از کاربران X قبلا در روز یکشنبه عکس‌هایی از یک لجر با کابل‌های اضافی منتشر کرده بود که MediaMarkt را به‌عنوان فروشگاهی که آن را خریداری کرده بود، معرفی کرده بود و پیشنهاد می‌کرد که دستگاه احتمالا دوباره فروخته شده است. روز دوشنبه، او گفت که یک Ledger دوم را از یک مکان مختلف MediaMarkt با همان تغییرات خریداری کرده است. او نوشت: "من امروز یک دستگاه دوم را از یک مکان دیگر Mediamarkt خریداری کردم، فرآیند جعبه گشایی را ضبط کردم و یک بار دیگر نرم افزارهای جاسوسی را کشف کردم."

او نظریه بازگشت را در همان پست کنار گذاشت و گفت که یکی از کارمندان MediaMarkt به او گفت که دستگاه برگشتی نیست و لجرهای برگشتی به سازنده باز می گردند.

کارپلس اوایل روز سه‌شنبه کشف سنگاپور را اعلام کرد. "لجر فلکس فروخته شده در فرودگاه سنگاپور تایید شد که حاوی ایمپلنت جاسوسی است!" او نوشت. تاییدیه متعلق به کارپلس است و لجر نگفته است که دستگاه را تایید کرده است. فلکس متعلق به بن یورک است که روز شنبه پست کرد که آن را در فرودگاه از فروشگاهی به نام Metapod خریده و متوجه خراش هایی روی بدنه آن شده است و او روز سه شنبه گفت که در ماه ژوئن خریداری شده و هرگز مهر و موم آن را باز نکرده است.

کارپلس همچنین مطالب خود را در مورد اینکه چه کسی پشت این سخت افزار است به اشتراک گذاشته است. او روز دوشنبه نوشت: «با دیدن نوع تحقیق و توسعه روی آن ایمپلنت‌ها، نسخه اروپایی «v1.0» و کیفیت کلی محصول، حدس می‌زنم که خود ایمپلنت یک محصول است، با خطوط تولیدش و دفترچه راهنما که به شخص دیگری فروخته می‌شود، که اینها را قبل از فروش روی دفترچه‌ها نصب می‌کند.

با وجود همه اینها، کارپلس همچنان از سخت افزار لجر دفاع می کند. او در پست دیگری گفت: «من سال‌هاست که از دستگاه‌های لجر استفاده می‌کنم و اکتشافات اخیر در مورد ایمپلنت‌های سخت‌افزاری اعتماد من به آن‌ها را تغییر نداده است. باز کردن و بررسی دستگاه های لجر نسبتا آسان است. این یکی از دلایلی است که این ایمپلنت های مخرب را می توان کشف و بررسی کرد.

تیم داخلی لجر متشکل از کارشناسان امنیت سایبری، موسوم به Donjon، همچنین اولین توضیح فنی خود را در مورد این حمله در روز سه شنبه منتشر کرد، که مطابق با آنچه شرکت Karpelès، Tibane Labs، در تخریب خود مستند کرده بود، مطابقت دارد.

Ledger گفت: "بر اساس تجزیه و تحلیل Donjon از حمله، ایمپلنت در داخل محفظه قرار می گیرد و داده های نشان داده شده روی صفحه را می خواند. در حین تنظیم، امضا کننده عبارت بازیابی 24 کلمه ای را نمایش می دهد. هنگامی که ایمپلنت این صفحه ها را تشخیص می دهد، میکروکنترلر آن کلمات را رمزگشایی می کند و با استفاده از یک eSIM ارائه شده آنها را از طریق LTE ارسال می کند." "این عنصر امن یا سیستم عامل لجر را تغییر نمی دهد و تراکنش ها یا امضاها را تغییر نمی دهد."

به‌روزرسانی اضافه می‌کند که لجر در حال بررسی گزارش‌های کاشت در دستگاه‌ها و مکان‌های دیگر است. در این مقاله آمده است: «ما یک تخلیه مرتبط با امضاکننده‌ای که در جای دیگری خریداری شده است را تأیید نکرده‌ایم.

بر اساس شمارش، دزد حدود 6680 ETH را از جمعه تا دوشنبه در Tornado Cash قرار داد و بیشتر آن را از طریق Zcash ارسال کرد. بیت کوئری با تطبیق مقادیر و زمان بندی وجوه را دنبال می کرد. این شرکت گفت: "میکسر به این معنی است که پیوند را نمی توان به طور کامل اثبات کرد، اما ما آن را قوی ارزیابی می کنیم." Bitquery پیوندهای خود را برای دورهای بعدی میکس ضعیف‌تر ارزیابی می‌کند، و همچنین به YFarmX اعتبار می‌دهد که در ابتدا آن مسیر را از طریق میکسر و Zcash شناسایی کرده است.

پاسکال گوتیه، مدیرعامل لجر، گفت که این شرکت هنوز نمی‌داند دستگاه‌ها کجا دستکاری شده‌اند. گوتیه روز سه‌شنبه نوشت: «تحقیقات ادامه دارد تا مشخص شود چه کسی این امضاکنندگان را دستکاری کرده یا در کجای زنجیره توزیع این اتفاق افتاده است. ما در حال بررسی کنترل‌هایی هستیم که بر فروش مستقیم و فروشندگان اعمال می‌شود و آنچه را که بتوانیم به اشتراک خواهیم گذاشت.»

برای دارندگانی که می‌خواهند به داخل دستگاه‌های خود نگاه کنند، لجر راهنمای بازرسی دستگاه‌های خود را دارد و Karpelès یک لیست پخش YouTube در مورد باز کردن و بستن Nano X، Nano S Plus، Flex و Stax ارسال کرده است. چارلز گیمت، مدیر ارشد فناوری لجر، هشدار داد: «احتیاط کنید و مطمئن شوید که عبارت بازیابی شما ابتدا پشتیبان‌گیری شده است، زیرا باز کردن امضاکننده می‌تواند به آن آسیب برساند».

سایر سازندگان کیف پول سخت افزاری نیز کانال های فروش خود را سفت تر می کنند. ترزور روز سه شنبه گفت: «به دنبال حوادث اخیر زنجیره تأمین، ما تصمیم گرفتیم تعداد فروشندگان را کاهش دهیم تا بتوانیم به طور مؤثرتری آنهایی را که با آنها کار می کنیم بررسی کنیم. اجازه دهید خیلی واضح بگوییم: حتی یک مدرک وجود ندارد که دستگاه‌های Trezor در معرض خطر قرار گرفته باشند. OneKey روز دوشنبه اعلام کرد که مجوز CryptoBilis را پایان داده است، اضافه کردن فروشندگان جدید را متوقف کرده و شروع به بررسی همه فروشندگان موجود کرده است.